🇰🇷 한글 설명
Ansible Automation Platform의 automation-controller 내 커스텀 자격 증명 유형 환경 변수 주입기에 결함이 발견되었습니다. 차단 목록에 BASH_ENV, LD_PRELOAD와 같은 프로세스 하이재킹 변수가 누락되어 있어, 권한이 있는 사용자가 실행 환경 내에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
시스템이 위험한 단어들을 검사할 때 중요한 보안 변수들을 놓치는 실수를 했습니다. 이를 통해 공격자는 허가되지 않은 명령어를 몰래 실행하여 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in Ansible Automation Platform's automation-controller. The custom
Credential Type environment-variable injector validates variable names against a
deny-list (an ANSIBLE_* prefix check plus a fixed ENV_BLOCKLIST) that omits
process-hijacking loader variables such as BASH_ENV, ENV, LD_PRELOAD, LD_LIBRARY_PATH,
PYTHONSTARTUP and GIT_SSH_COMMAND. Combined with the credential file injector, a
privileged user can write an attacker-controlled script into the execution environment
and point BASH_ENV at it, obtaining arbitrary code execution inside the
execution-environment container for any job that attaches a credential of that type.
📍 영향받는 시스템
Ansible Automation Platform (automation-controller)
⚔️ 공격 벡터
자격 증명 파일 주입 기능과 누락된 환경 변수 차단 목록을 결합하여 실행 환경 컨테이너 내에서 임의 코드 실행
🛡️ 대응 방법
Ansible Automation Platform을 최신 보안 패치가 적용된 버전으로 업데이트하고 차단 목록(deny-list)을 보완하십시오.
🔧 검증 코드
설치된 제품의 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 제조사 보안 권고문을 통해 대조하십시오.
ansible-automation-platform --version 2>/dev/null || echo 'Check vendor documentation for specific versioning'